Automechaniker zu Cyberprofis

Ein Stockwerk mit einer Handvoll Bürozimmer, ein paar Computer, Kopiergeräte, Sitzungsräume, 35 Mitarbeitende und 11,2 Millionen Franken Budget. Dies steht dem obersten Chef der nationalen Cyber-Sicherheit, Florian Schütz, zur Verfügung. Hier, von der Berner Schwarztorstrasse aus, koordiniert er die Abwehr von Hackern, Krypto-Räubern und digitalen Spionen. Wer glaubt, Cybersecurity spielt sich in einem ominösen Kubus mit raumschiffartigem Kommandoraum und bebrillten Computer-Nerds in Uniform ab, der irrt. Florian Schütz ist der Leiter des Nationalen Zentrums für Cybersicherheit (NCSC). Sein Büro ist dem Generalsekretariat des Finanzdepartements angeschlossen. Hier kümmert er sich um die gesamte nationale Cybersicherheit. Schütz versteht seine Arbeit als «präventiv, omnipräsent – und aktiv», darauf legt er Wert. So richtig abschalten will er gar nicht. Zu spannend findet er das Thema IT. Wenn er mal zu einem Buch greift, dann eines über moderne Fertigungssysteme und automatisierte Produktionen mit Blick auf die Lieferketten. «Man muss ja verstehen, was die Herausforderungen bei vernetzen Maschinen sind.» In seiner Position als Schweizer Cyber-Chef arbeitet er mit Exekutivkräften wie auch mit Kontraktoren aus der Privatwirtschaft zusammen. Und vereint ein bisschen von allem in seiner Funktion: Nachrichtendienst und IT, Militär und Polizei, Politik, Wirtschaft und Infrastruktur. Das sind die Bereiche, wo er und seine Cyberspezialisten vor allem aktiv sind. Offensive FähigkeitenDie Bundesverwaltung, für die Schütz tätig ist, gehört zu den sogenannten kritischen Infrastrukturen. Zu dem Zweck hatte er in seiner Funktion bereits mit externen, freundlichen Auftragshackern – in der Fachsprache Bug-Bounty-Programm genannt – eine grosse IT-Überprüfung der Parlamentsdienste und des Aussendepartements (EDA) veranlasst. Allein das EDA ist ein Mammutressort mit 6000 Beschäftigten, 170 Aussenstellen in mehr als 100 Ländern und dementsprechend exponiert. Fünfzehn Hacker wurden auf einen bestimmten Teil der Bundes-IT angesetzt, zehn Schwachstellen haben diese gefunden, eine davon kritisch. «Wir planen, das in der einen oder anderen Form weiterzuführen», sagt Schütz. Dafür braucht es defensive und offensive Fähigkeiten der Cyber-Experten im Auftrag des NCSC. Wo Schütz die offensive Power noch einsetzen lassen wird, klärt er bereits ab. Wie, wo und wann, darüber darf er nicht sprechen. Vieles erfährt die Öffentlichkeit erst gar nicht. «Es irritiert mich manchmal, wenn man in den Medien vernimmt, dass wieder einmal etwas passiert sei und dann behauptet wird, der Bund habe nicht geholfen.» Checkt Schütz die Cyber-Systeme des Bundes, dann sieht er, dass die Behörden sehr wohl geholfen haben. Darunter leidet die Sichtbarkeit seines Erfolgs. Gelernt hat der nationale Cyber-Chef sein Handwerk an der Uni. Neben dem Studium assistierte er an der ETH in den Nullerjahren in einem Labor, wo er das Labornetz gesichert und Studenten beim Experimentieren mit Angriff und Verteidigung von Computernetzwerken geholfen hat. Zusammen mit seinen Kollegen brachte er die Systeme zum Anschlag und zeigte auf, wie man diese ausnützen kann. Heute nennt man diese Methode Red- und Blue-Teaming, wie man das auch beim NCSC kennt: ein Team attackiert, das andere verteidigt, aber transparent und unter Aufsicht. «Ich war Red und Blue Team in Personalunion.» Danach war er studienbegleitend bei Siemens in der Stellwerktechnik tätig und gewann so Einblick in die Mechanismen kritischer Infrastrukturen. Dann seine ersten Einsätze beim Rüstungskonzern Ruag und aufgrund seiner speziellen IT-Fähigkeiten als Fachoffizier bei der Schweizer Armee. Es war jene Zeit, als Cyberthemen so richtig virulent wurden und sogar die Ruag selbst mit Cyberattacken konfrontiert wurde. Ein Cyberangriff 2016 war immerhin ausschlaggebend dafür, dass die Ruag in zwei Unternehmensteile aufgespalten wurde. Wobei: «In den Vorfall 2016 involviert war ich nicht», stellt Schütz klar. Head of Cyber Security bei der Ruag war er in den viereinhalb Jahren davor. Von Ruag zu ZalandoWas Schütz umtreibt, ist die Faszination für Prozesse. Dem fachlichen Umfeld blieb er immer treu, wechselte aber schon mal die Branche. Fast drei Jahre lang leitete er die IT-Sicherheit von Europas grösstem Online-Modehändler Zalando. Das privatwirtschaftliche Umfeld des E-Commerce kennt er daher sehr gut. «Ich weiss, was es bedeutet, wenn man einen Cyber-Incident hat, pro Minute einen 5-stelligen Betrag verliert und mit begrenzten Ressourcen den Schaden minimieren muss.» Bei Zalando habe er Risikomanagement gelernt und wie man Sicherheit skaliert und automatisiert. Nach In- und Auslandseinsätzen für die Ruag als Manager und dem Intermezzo in der Welt des Online-Modehandels kehrte Schütz zur nationalen Sicherheit zurück. Als oberster nationaler Cyber-Chef ist er auch für die IT der Ruag unverzichtbar geworden. «Ruag International ist eine privatrechtliche Firma, die heute noch als kritische Infrastruktur gilt und Zugang zu den Dienstleistungen des NCSC hat.» «Es gibt Defizite»Perfekt läuft es natürlich nie. Zwar steht die Schweiz in Sachen Cyber-Schutz derzeit nicht schlecht da, «aber es gibt Defizite». Schütz verliert den Plauderton, wird ernst: «Statt nur Spezialisten auszubilden, bräuchte es Zusatzausbildungen in einzelnen Berufen.» Ein Automechaniker zum Beispiel sollte die Cyber-Aspekte eines Bordcomputers im Fahrzeug dazulernen. Der Cyber-Chef würde gerne «eine Workforce herstellen, die mit solchen Kompetenzen international gefragt wäre, damit auch ins Ausland gehen kann und mit neu erlerntem Wissen und Auslandserfahrung wieder in die Schweiz zurückzukommen kann, um Familienunternehmen und KMU fortzuführen oder zu gründen». Noch immer würden zu viele Unternehmen, in kritischen und nicht-kritischen Bereichen, nicht einmal einen gewissen Grundschutz im Griff haben. Auch im Infrastrukturbereich, bei Stromlieferanten oder der Bahn, müsse die Sicherheit weiter ausgebaut werden. Dafür müssten die Geschäftsleitungen mehr involviert werden. «Bei jenen Infrastrukturen, die wenig Wettbewerb ausgesetzt sind, ist der Schutz meist geringer ausgeprägt», sagt Schütz. «Banken etwa, die viel Geld und ihren guten Ruf verlieren würden, wenn etwas passiert, haben ein deutlich höheres Bewusstsein dafür, bis hin zum Verwaltungsrat.» Meldepflicht in den VertragUnd wenn sich eine Attacke mal nicht verhindern lässt, dann müsste das so rasch wie möglich gemeldet werden, findet Schütz. Aktuell ziehe eine Meldepflicht für die Privatwirtschaft in der Schweiz nur auf kritische Infrastrukturen ab. «Ich empfehle Unternehmen, dass diese in ihre Lieferantenverträge hineinschreiben, dass sie von ihren Lieferanten informiert werden müssen, wenn ein Cyber-Angriff passiert.» Eine Online-Meldestelle, wo man niederschwellig (und freiwillig) melden kann, wurde für Unternehmen bereits eingerichtet. Mehr Cyber-Kompetenz, mehr Verantwortung für die Geschäftsleitung, mehr Fallmeldungen – Schütz referiert diese drei Punkte im Stakkato, verleiht den Worten Gewicht. Wenn es darum geht, was die Schweiz in Cyber-Fragen kann, was ihr fehlt, und wie man das Land vor Angriffen sicherer machen kann, dann ist das für ihn nicht nur die Strategie auf dem Reisbrett, sondern auch ein persönliches Anliegen.